| 插件名稱 | WPBakery 頁面生成器 |
|---|---|
| 漏洞類型 | 儲存的跨站腳本攻擊 |
| CVE 編號 | CVE-2025-11160 |
| 緊急程度 | 低 |
| CVE 發布日期 | 2025-10-15 |
| 來源 URL | CVE-2025-11160 |
WPBakery 頁面生成器 <= 8.6.1 — 透過自訂 JS 模組的儲存型 XSS (CVE-2025-11160)：網站擁有者現在必須做的事情
介紹
一個影響 WPBakery Page Builder (版本 ≤ 8.6.1) 的儲存型跨站腳本 (XSS) 漏洞已被披露 CVE-2025-11160. 。具有有限權限的攻擊者可以注入 JavaScript，該 JavaScript 隨後在訪客的瀏覽器中執行。允許貢獻者級別或類似帳戶創建或編輯內容的網站受到影響。.
從香港安全專家的角度來看，本報告解釋了該問題的運作方式、受影響的對象以及您可以採取的實用、立即行動：修補、配置更改、內容檢測/清理，以及通用 WAF 指導的虛擬修補概念。.
執行摘要
- 受影響的軟體：WPBakery Page Builder 外掛 (≤ 8.6.1)
- 漏洞：透過插件的自訂 JS 模組的儲存型跨站腳本 (XSS)
- CVE：CVE‑2025‑11160
- 修復於：8.7 (如有可能，立即升級)
- 利用所需的權限 (報告)：貢獻者 (或等同的低級編輯)
- 風險：能夠創建或編輯頁面構建器內容的攻擊者可以儲存在訪客瀏覽器中運行的 JavaScript 負載 (重定向、Cookie 盜竊、會話劫持、惡意內容的分發)。.
- 立即緩解：升級至 8.7+，限制對自訂 JS 模組的訪問，搜索/清理網站內容，應用 WAF/虛擬修補規則以阻止腳本注入。.
此漏洞的運作方式 (簡單解釋)
當不受信任的輸入被儲存並在未經適當清理或輸出編碼的情況下被渲染時，就會產生儲存型 XSS。在這裡，插件的“自訂 JS”模組允許貢獻者儲存 JS 內容並包含在前端的頁面模板中。由於內容可能包含原始 JavaScript 或 DOM 事件屬性，訪問受影響頁面的訪客將執行攻擊者提供的代碼。所需的唯一權限是能夠添加或編輯該自訂模組，通常可用於貢獻者/作者角色。.
為什麼儲存型 XSS 是危險的
儲存型 XSS 特別嚴重，因為惡意代碼在網站上持久存在，並為每位訪問受感染頁面的訪客執行。典型後果包括：
- 會話 Cookie 盜竊和帳戶接管 (當 Cookie 未被妥善保護時)
- 靜默重定向到惡意域名
- SEO 垃圾郵件和未經授權的內容注入
- 基於瀏覽器的加密挖礦或廣告欺詐
- 次級攻擊和持續性（後門，特權提升）
理解影響和嚴重性
CVE‑2025‑11160 在 8.7 中修復。一些評估將 CVSS 評分約為 6.5。數字分數是有用的，但現實世界的風險取決於上下文：
- 使用自定義 JS 的高流量頁面增加了暴露風險。.
- 不良的帳戶衛生（共享密碼，無 MFA）提高了被利用的可能性。.
- 包含特權用戶（編輯，管理員）的訪客群體可能會增加影響。.
鑑於貢獻者/作者帳戶在內容管理中的常見使用，請迅速回應。.
